← España

PS-00430-2016

1/15 Procedimiento Nº PS/00430/2016 RESOLUCIÓN: R/03245/2016 En el procedimiento sancionador PS/00430/2016, instruido por la Agencia Española de Protección de Datos a la entidad ORANGE ESPAGNE, S.A.U.., vista la denuncia presentada por F.F.F., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 25/09/2015, tiene entrada en esta Agencia Española de Protección de Datos (AEPD) escrito de F.F.F. (en adelante denunciante), en el que manifiesta que la compañía Jazztel Telecom, S.A. (en la actualidad ORANGE ESPAGNE, S.A.U.. y en lo sucesivo ORANGE) ha procedido a la inclusión de sus datos personales en ficheros de solvencia patrimonial de una deuda incierta, nunca ha contratado los servicios de la operadora, sin previo requerimiento de pago y sin haber sido notificado de la inclusión en los citados ficheros. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO ASNEF: Los datos asociados al denunciante, con fecha de 21/04/2016, no se encuentran incluidos en el fichero denominado “ASNEF”, cuyo responsable es la entidad ASNEF-EQUIFAX, Servicios de Información sobre Solvencia y Crédito, S.L.(en lo sucesivo EQUIFAX). Si bien, ha sido dada de baja una incidencia a nombre de E.E.E., con mismo NIF que el denunciante, con fecha de alta el 14/05/2015 y de baja el 30/07/2015, por importe de 795,67€ y siendo la entidad informante ORANGE. La citada incidencia fue notificada a la dirección calle A.A.A., Alicante; no consta devolución a su origen. También se aporta impresión del registro remitido por ORANGE para la inclusión de los datos personales del denunciante en el fichero ASNEF, en el que consta la citada información. 2. CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO BADEXCUG: De la documentación remitida por la compañía Experian Bureau de Crédito, S.A. (en adelante EXPERIAN), responsable del fichero denominado BADEXCUG, con fecha de 14/04/2016, no consta ni ha sido dada de baja incidencia asociada al NIF del denunciante. 3. CON RESPECTO DE ORANGE: Del análisis de la información y de la documentación remitida por dicha compañía a la Inspección de Datos, con fecha de 23/12/2015 y 27/04/2016, se desprende lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15  En el Sistema de Información de Clientes de ORANGE consta asociado a E.E.E., con mismo NIF que el denunciante, los servicios de la línea K.K.K., con dirección calle A.A.A. (…), teléfono de contacto L.L.L. y cuenta corriente H.H.H.. La contratación fue realizada por teléfono y se aporta soporte CD con la grabación de la misma, en la que no está identificado correctamente el supuesto contratante.  Se emitieron facturas en el periodo comprendido entre el día 23/11/2014 y el 23/03/2015, con un saldo deudor de 795, 67€, que fue anulado el 23/08/2015. Se adjunta copia de las facturas. También, se aporta Albarán de entrega emitido por SEUR, como destinatario se especifica E.E.E., con domicilio en calle A.A.A. (…), teléfono L.L.L., consta de forma manuscrita: fecha de entrega 1/12 y firma.  El denunciante ejercitó el derecho de cancelación ante ORANGE en el que consta el domicilio calle D.D.D., Elche, dando respuesta con fecha 04/08/2015, al denunciante a la citada dirección en los términos “están realizando las gestiones necesarias para realizar la cancelación de sus datos personales”. Si bien, la operadora remite escrito el día 10/09/2015, a la dirección calle A.A.A. (…), informando de que “ha procedido a hacer efectivo el derecho de cancelación (…)”.  Por la citada deuda fueron incluidos los datos personales del denunciante en el fichero denominado ASNEF pero recibida la reclamación del denunciante, de fecha 24/07/2015, se excluyeron los datos del citado fichero de solvencia de forma preventiva.  Se aporta copia del requerimiento de pago remitido por ORANGE, de fecha 07/04/2015, con dirección calle A.A.A. (…), en el que se le informa de la deuda de 741,48€, y de que “en caso de no proceder al pago de la deuda (…) sus datos podrán ser incluidos en ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias y en concreto en el fichero nacional de impagados ASNEF”. El servicio de envíos de requerimientos previos de pago la operadora los tienen contratados con la mercantil Equifax Ibérica, S.L., cuyo contrato consta, entre otras, en las actuaciones con referencia E/03800/2015. Dicha compañía certifica que “la citada carta no les consta que fuera devuelta por motivo alguno al apartado de correos que ha sido designado para tal efecto”. También, la mercantil Énfasis Billing & Marketing Services, S.L., como prestador del servicio de envío de requerimientos de pago, en virtud del contrato suscrito con Equifax Ibérica, S.L., certifica que la generación, impresión y puesta en el servicio de envíos postales, el 08/04/2015, de la comunicación nº de referencia I.I.I., dirigida al denunciante, con domicilio en calle A.A.A. (…), se realizó de acuerdo a las instrucciones recogidas en el contrato sin que se produjesen hechos que impidiesen el normal desarrollo. 4. Se ha verificado por parte de la Inspección de Datos que en el soporte CD remitido por la compañía ORANGE, junto con el escrito de fecha 27/04/2016, constan diversos archivos con el siguiente contenido:  Albarán de entrega emitido por SEUR descrito anteriormente.  Facturas de la línea K.K.K..  Reclamación del denunciante ante ORANGE y respuestas dadas al respecto.  Grabación de una conversación mantenida entre el operador y supuestamente el denunciante (en la citada conversación no se encuentra identificado correctamente el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 contratante), en la que el operador informa al Sr. E.E.E. que ha finalizado la contratación con ORANGE, que van a confirmar los datos y que por seguridad la conversación está siendo grabada, hoy es 19/11/2014 12:40 horas, la dirección A.A.A. código postal ***CP.1. El operador informa de las características técnicas del alta nueva ADSL, de los costes económicos y de la Ley de Protección de Datos. El supuesto denunciante da respuesta a la pregunta del operador del teléfono de contacto L.L.L., que no tiene correo electrónico y confirma con “SI” la información facilitada por el operador. TERCERO: Con fecha 13/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ORANGE por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de ORANGE mediante email de 21/09/2016 solicito acceso al expediente admvo.; en fecha 26/09/2016 se le remitió al domicilio de la empresa copia del mismo. La representación de ORANGE mediante escrito de fecha 04/10/2016 formuló las siguientes alegaciones: la aplicación del artículo 45.5.
  2. e)LOPD al ser Jazztell la responsable de la comisión de la infracción; que ha se ha aplicado toda la diligencia debida; que se gradué la sanción de conformidad con las circunstancias concurrentes del artículo 45.4 de la LOPD. QUINTO: Con fecha 07/10/2016 se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/06955/2015. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00430/2016 presentadas por ORANGE y la documentación que a ellas acompaña. Solicitar al denunciante que remita copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó cualquier otra manifestación en relación con los hechos denunciados SEXTO: En fecha 28/11/2016, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a ORANGE por infracción de los artículos 6.1 y 4.3 de la LOPD, tipificadas como grave en el artículo 44.3.
  3. b)y 44.3.
  4. c)de dicha norma, con multa de 30.000 € (treinta mil euros) cada una de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de ORANGE mediante escrito de fecha 20/12/2016 reiteraba las alegaciones realizadas con anterioridad y, además, mostraba su disconformidad con la sanción propuesta al no haberse graduado en atención a las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 atenuantes concurrentes por lo que solicitaba una sanción menor al haberse aplicado por la entidad la máxima diligencia y concurrir circunstancias atenuantes. HECHOS PROBADOS PRIMERO. En fecha 28/09/2015 el afectado presentó escrito en esta Agencia manifestando que le había sido denegada la petición de crédito como consecuencia de la inscripción de sus datos de carácter personal en ficheros de morosidad a instancias de ORANGE por una deuda inexistente, sin previo requerimiento de pago y sin haber sido notificado de la inclusión en los citados ficheros (folios 1 y 2). SEGUNDO. Consta copia del DNI del denunciante nº M.M.M., con domicilio en C/ D.D.D., coincidente con el que figura en el escrito de denuncia (folio 38). TERCERO. ORANGE ha aportado impresiones de pantalla de sus sistemas informáticos donde consta asociado a E.E.E., el NIF del denunciante, el teléfono L.L.L., y la dirección C/ A.A.A., ***CP.1-Alicante y domicilio de pago cuenta de H.H.H.. También consta información de las facturas emitidas en el periodo comprendido entre el día 23/11/2014 y el 23/03/2015, con un saldo deudor de 795, 67€, que fue anulado el 23/08/2015. Aportan copia de las facturas emitidas (folios 43 y 124 a 155). CUARTO. La empresa EQUIFAX, como encargada del fichero, ha informado que en el mismo consta una incidencia asociada al identificador M.M.M. correspondiente al denunciante, si bien vinculado a un nombre y primer apellido distinto, en calidad de deudor, informada por ORANGE (antes JAZZTEL), por operación telecomunicaciones, constando como fechas de alta y baja 16/05/2015- 30/07/2015, por un importe impagado de 795,67 euros. La citada incidencia fue notificada a la dirección C/ A.A.A., ***CP.1Alicante (folios 62 y 65). El denunciante, en fecha 03/07/2015, se dirigió al responsable del fichero ASNEF ejercitando el derecho de acceso a sus datos de carácter personal, quien el 06/07/2015 le remitía la información asociada a su identificador coincidente con la señalada en el hecho anterior. Asimismo, le informaba que sus datos habían sido consultados por BBVA y Jazztel (folios 68 y 69). El denunciante, en fechas 12/07/2015, 22/07/2015 se dirigió al responsable del fichero ASNEF ejercitando el derecho de cancelación de sus datos de carácter personal, respondiéndole el 20/07/2015 y 30/07/2015; informándole, en el primer caso, que sus datos habían sido confirmados por la entidad ORANGE (antes Jazztel) y en el segundo que “tras las comprobaciones pertinentes, se ha procedido a la subsanación del nombre que constaba asociado a su identificador: M.M.M.. Adjunto le remitimos impresión de pantallas en la que consta expresamente la no existencia de datos” (folios 75, 76, 85, 86). Asimismo, consta comunicación enviada por EQUIFAX a ORANGE en relación con el ejercicio del derecho de cancelación anterior en la que le comunicaba que “ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato” (folio 90). QUINTO. Consta aportado copia del requerimiento de pago remitido por ORANGE, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 fecha 07/04/2015, con dirección C/ A.A.A., ***CP.1-Alicante, en el que se le informa de la deuda de 741,48€, y de que “en caso de no proceder al pago de la deuda (…) sus datos podrán ser incluidos en ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias y en concreto en el fichero nacional de impagados ASNEF” (folio 46). SEXTO. Consta que ORANGE tiene contratado el servicio de envíos de requerimientos previos de pago con la mercantil Equifax Ibérica, S.L., cuyo contrato consta, entre otras, en las actuaciones con referencia E/03800/2015. Dicha compañía certifica que “no nos consta que la carta de requerimiento de pago con ref I.I.I., enviada el 08/04/2015, y dirigida al denunciante, con dirección CL/ A.A.A. . en la localidad de Alicante … fuera devuelta por motivo alguno al apartado de Correos que ha sido designado para tal efecto”. Énfasis Billing & Marketing Services, S.L., figura como prestadora del servicio de envío de requerimientos de pago, en virtud del contrato suscrito con Equifax Ibérica, S.L., certificando que la generación, impresión y puesta en el servicio de envíos postales, el 08/04/2015 de la comunicación con nº de referencia I.I.I. dirigida al denunciante, con domicilio en C/ A.A.A., ***CP.1-Alicante, la cual se realizó de acuerdo a las instrucciones recogidas en el contrato sin que se produjesen hechos que impidiesen el normal desarrollo (folios 43, 44, 45). SEPTIMO. Consta acreditado que el denunciante se dirigió a ORANGE el 21/07/2015, ejercitando el derecho de cancelación (27 y 28); la respuesta dada por la entidad el 04/08/2015 fue remitida a su dirección, pero la respuesta que ORANGE le dirige el 10/09/2015 le fue remitida a la dirección C/ A.A.A., ***CP.1-Alicante informando de que “ha procedido a hacer efectivo este derecho”. (folio 161 y 162). OCTAVO. Consta aportada copia del Albarán de entrega de una tablet emitido por SEUR, como destinatario se especifica E.E.E., con domicilio en C/ A.A.A., ***CP.1Alicante, teléfono L.L.L., consta de forma manuscrita: fecha de entrega 1/12 y firma que no coincide con la del denunciante (folio 123). NOVENO. ORANGE no ha acreditado grafica ni documentalmente la contratación del servicio asociado a la línea K.K.K.; aporta en soporte CD copia de la grabación de la conversación telefónica mantenida durante el proceso de contratación de la línea en C/ A.A.A., (ADSL + llamadas nacionales gratis + 30 minutos/mes a móvil gratis + línea Jazztel); la operadora actuante le informa al contratante ( E.E.E.), de las características técnicas del alta nueva ADSL, de los costes económicos y de la Ley de Protección de Datos, pero en ningún momento hace referencia al nombre y apellidos, nº de DNI, nº de línea objeto de contratación, etc. (folio 121). La propia entidad denunciada en escrito de 04/10/2016 ha manifestado que “Dicha grabación cumple con los requisitos establecidos en la referida Circular (Circular 1/2009, de 16 de abril de 2009, de la Comisión del Mercado de las Telecomunicaciones), salvo en la confirmación de la identidad del contratante, puesto que el verificador únicamente confirma el nombre de aquél, obviando los apellidos y el DNI” (folio 183). FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Los hechos enjuiciados fueron calificados en el Acuerdo de Inicio de este expediente sancionador, para la entidad imputada en el mismo ORANGE, como constitutivo de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  6. c)de la citada Ley Orgánica. No obstante, en la Propuesta de Resolución, se considera conveniente modificar la calificación jurídica efectuada a ORANGE en el sentido de estimar que ha existido, además de la infracción del artículo 6.1 de la LOPD, la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  7. b)de la citada Ley Orgánica. Respecto a si es o no procedente cambiar en fase de Propuesta la calificación jurídica de los hechos objeto de la denuncia que se realizó en el Acuerdo de Inicio y a la incidencia que tal cambio puede tener en el derecho de defensa de la entidad denunciada, conviene señalar que nada impide efectuar esta modificación; en este sentido se pronuncia el artículo 16.3 del R.D. 1398/1993, de 4 de agosto, al señalar “Si como consecuencia de la instrucción del procedimiento resultase modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponibles o de las responsabilidades susceptibles de sanción, se notificará todo ello al inculpado en la propuesta de resolución”. III El artículo 6 de la LOPD determina que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, es importante señalar que ORANGE no ha acreditado el consentimiento del denunciante para el tratamiento de sus datos, vinculados a la contratación de la línea de telefonía K.K.K.; aporta en soporte CD copia de la grabación de la conversación telefónica mantenida durante el proceso de contratación de la línea en la que la operadora actuante le informa al contratante, de las características técnicas de la ADSL, sobre sus costes económicos y normativa sobare protección de datos, pero en ningún momento se hace referencia al nombre y apellidos del contratante, nº de DNI, nº de línea objeto de contratación, etc., es decir, ni se identifica a la otra parte contratante y por consiguiente, no acredita su consentimiento. Por tanto, si bien es cierto que ORANGE aportó la grabación de la verificación de la contratación de la línea de telefonía móvil citada, no lo es menos que la misma no se ajustó a las condiciones exigidas en la Circular de la Comisión del Mercado de las Telecomunicaciones (CMT). La propia entidad ha reconocido que la “grabación cumple con los requisitos establecidos en la referida Circular (Circular 1/2009, de 16 de abril de 2009, de la Comisión del Mercado de las Telecomunicaciones), salvo en la confirmación de la identidad del contratante, puesto que el verificador únicamente confirma el nombre de aquél, obviando los apellidos y el DNI”. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a JAZZTEL tratar los datos de la denunciante sin su consentimiento. IV Hay que señalar que la Audiencia Nacional en numerosas sentencias traslada a la entidad denunciada la carga de probar la indicada contratación, y por ende el consentimiento para el tratamiento de los datos personales. En este mismo sentido se pronuncia la Sentencia de la Audiencia Nacional, de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. Por tanto, corresponde a ORANGE estar en condiciones de acreditar que había obtenido el consentimiento de la denunciante, pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le corresponde aportar la prueba de que dicho consentimiento ha sido prestado. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
  8. b)tipifica como infracción grave “
  9. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En el presente caso, ORANGE ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. La entidad mencionada ha tratado los datos del denunciante sin contar con su consentimiento, materializado en la contratación de la línea de telefonía asociada al número K.K.K. sin su consentimiento inequívoco, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.
  10. b)de la citada Ley Orgánica. VI En segundo lugar, se imputa a ORANGE la vulneración del artículo 4.3 de la LOPD, que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” El artículo 38.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Y el artículo 39 del Reglamento de desarrollo de la LOPD establece que: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. En el presente caso, ha quedado acreditado que ORANGE informó al fichero de morosos ASNEF, los datos de carácter personal del denunciante, vinculando a su DNI el nombre y primer apellido de otra persona, en calidad de deudor, por operación telecomunicaciones, constando como fechas de alta y baja 16/05/2015- 30/07/2015, por un importe impagado de 795,67 euros, deuda que no era cierta, vencida ni exigible pues el denunciante no mantenía relación con la entidad y que en modo alguno le correspondía. Además, ORANGE ha asociado los datos del denunciante a un domicilio C/ C.C.C., ***CP.1-Alicante, que no le corresponde. ORANGE como acreedor e informante de dichos datos al fichero, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, tal y como exige el artículo 4 de la LOPD; es decir, ORANGE debió haberse asegurado que los datos de carácter personal eran exactos y respondían con veracidad a la situación de la afectada, antes de instar la inclusión en el fichero de obligaciones dinerarias, dada las repercusiones personales que conlleva estar incluido y permanecer en ese tipo de ficheros. Todos estos hechos son contrarios al principio de calidad de datos y, por tanto, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, tipificada en el artículo 43.3.
  11. c)de la citada Ley Orgánica. VII Consta acreditado en esta Agencia que las entidades asociadas a los ficheros ASNEF y BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la denunciante son datos que figuran en los propios ficheros automatizados de ORANGE. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados a los ficheros comunes de información sobre solvencia patrimonial, en caso de que dichos datos sean de obligados respecto de una deuda para con la entidad que insta la inclusión . La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  12. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  13. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por ORANGE puede subsumirse o no en tales definiciones legales. ORANGE instó la incorporación a los ficheros de solvencia los datos de la denunciante en virtud de deuda que no respondía con veracidad a la situación actual del afectado (en aquel momento), puesto que no era cliente de la entidad. Dicha comunicación se realizó mediante un procedimiento que implica un tratamiento automatizado de los datos, como es su incorporación a una cinta magnética en cuyo destino también va a ser tratada automáticamente por los responsables de los ficheros de solvencia. Conforme a lo expuesto, ORANGE ha decidido, sobre la finalidad del tratamiento (la calificación del denunciante como deudor), el contenido de la información (los datos relativos a la deuda y al deudor asociados al denunciante), y el uso del tratamiento (la incorporación de los datos del denunciante a ficheros comunes de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 una evaluación o perfil económico de las personas incorporadas al mismo), por lo que es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Además, todo lo anterior lo ha realizado sin que los datos comunicados y mantenidos en los ficheros fueran exactos, pues la deuda informada y asociada al denunciante no le correspondía, pues esta no era deudor ya que no mantenía relación contractual con la entidad. Tampoco el domicilio que figura en sus sistemas le corresponde. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder ORANGE por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que ORANGE es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del artículo 3.
  14. d)y
  15. c)de la citada Ley Orgánica. VIII De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, el artículo 44.3.
  16. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el presente caso ORANGE ha incurrido en la infracción descrita ya que ha vulnerado el principio de calidad del dato consagrado en el artículo 4.3 de la LOPD, cuando informó al fichero de solvencia ASNEF los datos del denunciante por una deuda que no le correspondía puesto que no mantenía relación contractual con la entidad en relación con la línea de telefonía K.K.K. (ADSL + llamadas nacionales gratis + 30 minutos/mes a móvil gratis + línea Jaztel) y que encuentran su tipificación en el artículo 44.3.
  17. c)de la citada Ley Orgánica. IX El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de ORANGE ha solicitado la aplicación del artículo 45.5.
  33. e)como consecuencia de la absorción de la entidad responsable de la infracción y no ser imputable a ORANGE, así como la concurrencia de circunstancias previstas en el artículo 45.4 de la LOPD lo que posibilitaría la graduación de la sanción en la escala correspondiente a las infracciones leves en cuantía mínima. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que ORANGE vulneró los artículo 6.1 y 4.3 de la LOPD, al tratar los datos del denunciante sin su consentimiento materializado en la contratación de la línea de telefonía asociada al número K.K.K. y, si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 bien ORANGE aportó la grabación de la verificación de la contratación de la línea de telefonía móvil citada, no lo es menos que la misma no se ajustó a las condiciones exigidas en la Circular de la Comisión del Mercado de las Telecomunicaciones (CMT), al no concurrir el consentimiento inequívoco del denunciante. La propia entidad ha reconocido que la “grabación cumple con los requisitos establecidos en la referida Circular (Circular 1/2009, de 16 de abril de 2009, de la Comisión del Mercado de las Telecomunicaciones), salvo en la confirmación de la identidad del contratante, puesto que el verificador únicamente confirma el nombre de aquél, obviando los apellidos y el DNI”. Además, como consecuencia de dicho servicio se generó una deuda siendo incluida en el fichero ASNEF asociada al identificador M.M.M. correspondiente al denunciante, si bien vinculado a un nombre y primer apellido distinto, constando como fechas de alta y baja 16/05/2015- 30/07/2015, por un importe impagado de 795,67 euros, deuda que no correspondía al denunciante. No obstante, teniendo en cuenta las especificas circunstancias que concurren en el presente caso, permite apreciar la existencia de motivos para la aplicación de la circunstancia contemplada en el apartado
  34. e)del artículo 45.5 de la LOPD, “Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”, pues la entidad infractora fue inicialmente Jazztel y esta entidad fue absorbida posteriormente por ORANGE en proceso de fusión en fecha 08/02/2016, lo que permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". ORANGE ha invocado la actuación diligente como consecuencia de los hechos ocurridos; sin embargo, tal invocación no puede ser aceptada a la vista de los hechos probados. Ejercitado por el denunciante el derecho de cancelación ante el responsable del fichero el 12/07/2015 y 22/07/2015, le respondía en el primer caso, que sus datos habían sido confirmados por ORANGE y en el segundo que “tras las comprobaciones pertinentes, se ha procedido a la subsanación del nombre que constaba asociado a su DNI” y que “ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato” (folio 90). También ha alegado ORANGE la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la graduación de la sanción a imponer. En relación a la circunstancia prevista en el apartado
  35. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec. 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la entidad hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a que la existencia de controles o procedimientos adoptados en la recogida y tratamiento de los datos de carácter personal, circunstancia prevista en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 apartado
  36. i)del artículo 45.4 de la LOPD, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los mismos, situación que debería mejorar para no incurrir en hechos similares a los sucedidos y que no pudieron ser evitados. En cuanto a la circunstancia prevista en el apartado
  37. h)del artículo 45.4 tampoco pueden aceptarse, basta con una remisión al relato de los hechos y a la denuncia para verificar su existencia. Hay que señalar que con motivo de los hechos acaecidos el afectado tuvo que dirigirse en tres ocasiones al responsable del fichero ASNEF, además de atribuírsele la condición de deudor, por una deuda que no reunía el requisito de certeza. En este mismo sentido se ha pronunciado la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En cuanto a la ausencia de beneficios, criterio previsto en el artículo 45.4.e), hay que señalar que la LOPD prevé circunstancias tanto agravantes como atenuantes de la responsabilidad y, al margen de que en la conducta de la operadora de telefonía se de tal atenuante, la concurrencia de las agravantes que se expresan en el párrafo siguiente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. Se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las agravantes previstas en los apartados
  38. a)del artículo 45.4 de la LOPD “El carácter continuado de la infracción” porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a ORANGE, tiene naturaleza de infracción continuada o permanente; el apartado c), del artículo 45.4, “la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de los clientes como de terceros; el apartado
  39. d)del artículo 45.4, “volumen de negocio” toda vez que se trata una gran compañía de telefonía por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, en particular la vinculación de la actividad de la entidad denunciada con la realización de tratamientos de datos de carácter personal (apartado b), el volumen de negocio del infractor (apartado d), se imponen dos sanciones de 30.000 € cada una por la infracción del artículo 6.1 y 4.3 de la LOPD de la que ORANGE debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U.., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  40. b)de la LOPD, una multa de 30.000 € (treinta mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada LOPD. SEGUNDO: IMPONER a la entidad ORANGE ESPAGNE, S.A.U.., por una infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  41. c)de la LOPD, una multa de 30.000 € (treinta mil euros), de conformidad con lo establecido en el artículo 45.5 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a ORANGE ESPAGNE, S.A.U.., y a F.F.F.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.